Correspondance des contrôles ISO 27001 avec SOC 2 : Guide pratique

La plupart des contrôles de l'Annexe A d'ISO 27001 ont un équivalent dans SOC 2, et la plupart des critères SOC 2 correspondent à un contrôle de l'Annexe A. Le chevauchement est le plus important dans les domaines du contrôle d'accès, de la journalisation, de la gestion des changements, de la supervision des fournisseurs et de la gestion des incidents. Les deux référentiels ne se correspondent toutefois pas un à un. ISO 27001 ajoute un système de management (clauses 4 à 10) pour lequel SOC 2 n'a pas d'équivalent direct. SOC 2 ajoute des critères propres au système et un avis d'un expert-comptable certifié que la certification ISO ne peut pas remplacer.

Ce guide indique où les contrôles s'alignent, comment construire une matrice de correspondance, quelles preuves peuvent être réutilisées et comment évaluer le travail restant. Il s'adresse aux responsables conformité, aux directeurs informatiques et aux responsables sécurité des entreprises américaines qui détiennent déjà l'un des deux référentiels et ont besoin de l'autre.

En bref

• Le contrôle d'accès, la journalisation et la surveillance, la gestion des changements, la gestion des fournisseurs et la gestion des incidents correspondent le plus clairement entre l'Annexe A et les critères communs SOC 2.
• Le principal écart pour une équipe disposant d'un rapport SOC 2 est le SMSI lui-même : clauses 4 à 10, le processus de traitement des risques et la Déclaration d'applicabilité.
• Les preuves techniques telles que les journaux, les configurations et les rapports d'analyse sont souvent réutilisables. Les documents de gouvernance tels que les revues de direction et la DdA sont évalués séparément.
• La certification ISO 27001 ne remplace pas un examen SOC 2, et un rapport SOC 2 ne vous confère pas la certification ISO.
• Construisez un inventaire de contrôles unique, mappez-le aux deux référentiels, puis évaluez uniquement les écarts.

Sommaire

• Ce que vous mappez réellement
• Là où les contrôles s'alignent
• Ce qui ne correspond pas
• Comment construire la matrice de correspondance
• Preuves réutilisables et preuves non réutilisables
• ISO 27001 remplace-t-il SOC 2, ou l'inverse ?
• Évaluation du travail pour combler les écarts
• Estimez l'effort avant de vous engager
• Notre point de vue
• FAQ
• Sources

Ce que vous mappez réellement

Les deux référentiels sont construits différemment, ce qui oriente chaque décision de correspondance.

ISO 27001 certifie un Système de Management de la Sécurité de l'Information. Il exige la conformité aux clauses 4 à 10, notamment les audits internes et la revue de direction. L'Annexe A fonctionne comme un ensemble de contrôles de référence : ISO 27001:2022 contient 93 recommandations de contrôles en Annexe A, et vous décidez lesquels s'appliquent via le traitement des risques. Le résultat est un certificat valable trois ans, avec des audits de surveillance intermédiaires.

SOC 2 est une attestation de l'AICPA. Un cabinet d'expertise comptable évalue un système défini par rapport aux critères des services de confiance. L'AICPA décrit les critères comme étant axés sur les résultats : ils vérifient si un système et ses contrôles offrent une assurance raisonnable que les objectifs de la direction sont atteints. La sécurité (les critères communs) est obligatoire. La disponibilité, l'intégrité du traitement, la confidentialité et la vie privée sont des catégories optionnelles que vous ajoutez selon les attentes de vos clients. Le type 1 teste la conception à une date donnée. Le type 2 teste l'efficacité opérationnelle, généralement sur une période de trois à douze mois. Le résultat est un rapport, et non un certificat.

En résumé, ISO demande si vous gérez la sécurité comme un système maîtrisé et piloté par les risques. SOC 2 demande si un service spécifique dispose de contrôles ayant fonctionné. La question étant différente, un même contrôle peut satisfaire les deux référentiels, tandis que les documents associés ne le peuvent pas.

Là où les contrôles s'alignent

Le tableau ci-dessous présente les correspondances typiques entre les critères communs SOC 2 et ISO 27001:2022. Il s'agit d'un outil d'orientation construit à partir de la manière dont les deux structures sont habituellement lues côte à côte, et non d'un tableau de correspondance officiel. Votre propre mapping dépend de votre périmètre, de votre évaluation des risques et des contrôles que vous mettez réellement en œuvre.

Pour la version officielle cellule par cellule, utilisez le tableau de correspondance publié par l'AICPA entre les critères des services de confiance 2017 et ISO 27001. Il s'agit d'un tableur que vous pouvez filtrer en fonction de votre propre inventaire. Notez qu'il a été construit selon la numérotation des contrôles ISO 27001 antérieure, vous devrez donc adapter les références à la structure de l'Annexe A 2022. Notre guide Les contrôles de l'Annexe A expliqués explique comment les contrôles 2022 sont regroupés.

Pourquoi les affirmations de « 80 % de chevauchement » méritent prudence

Vous verrez des chiffres tels que 80 %, voire 100 %, de contrôles SOC 2 correspondant à l'Annexe A. Traitez-les comme indicatifs. Le chevauchement dépend de trois facteurs :

1. Les catégories SOC 2 dans le périmètre. Un rapport limité à la sécurité se recoupe différemment avec un rapport incluant la vie privée et l'intégrité du traitement.
2. Votre Déclaration d'applicabilité. L'Annexe A est un outil de support, non une liste obligatoire. Les contrôles que vous devez mettre en œuvre découlent de votre propre évaluation des risques ; deux entreprises peuvent donc avoir des niveaux de chevauchement différents avec le même rapport SOC 2.
3. Le périmètre du système par rapport au périmètre organisationnel. SOC 2 couvre un système défini. ISO certifie le périmètre que vous déclarez pour le SMSI. Les contrôles ne peuvent être testés une seule fois pour les deux référentiels que lorsque les périmètres se chevauchent.

Un contrôle qui correspond sur le papier doit néanmoins s'appliquer à l'ensemble du périmètre ISO. Si votre SOC 2 couvre une seule plateforme de production et que votre périmètre SMSI couvre toute l'entreprise, les preuves SOC 2 ne couvrent qu'une partie de ce qu'un auditeur ISO va échantillonner.

Ce qui ne correspond pas

Les éléments sans correspondance sont là où réside l'effort ; identifiez-les tôt.

Du côté ISO, sans équivalent direct dans SOC 2

• Clauses 4 à 10. Contexte de l'organisation, parties intéressées, périmètre du SMSI, politique, objectifs, compétences, informations documentées, audit interne, revue de direction et amélioration continue. C'est le principal écart pour une organisation SOC 2 qui vise ISO 27001.
• La Déclaration d'applicabilité. ISO exige que vous documentiez les contrôles nécessaires, les justifiiez et justifiiez également toute exclusion de l'Annexe A. Consultez notre guide sur la Déclaration d'applicabilité pour savoir comment en rédiger une qu'un auditeur acceptera.
• Un plan de traitement des risques formel avec des propriétaires de risques approuvant le risque résiduel.
• Des comptes rendus de revue de direction au titre de la clause 9.3, et un programme d'audit interne documenté.

Du côté SOC 2, sans équivalent direct dans ISO

• Description du système et engagements de service. SOC 2 requiert une description narrative du système, de ses limites et des engagements pris envers les clients.
• Contrôles complémentaires des entités utilisatrices et exclusions des organisations de sous-service. Ces éléments décrivent ce que vos clients et fournisseurs doivent faire pour que vos contrôles fonctionnent.
• L'efficacité opérationnelle sur une période. Un rapport de type 2 échantillonne les preuves sur plusieurs mois. Les audits de surveillance ISO échantillonnent également, mais selon un rythme différent.
• L'avis de l'expert-comptable lui-même. SOC 2 produit un rapport d'attestation d'un cabinet d'expertise comptable, et non un certificat.

Comment construire la matrice de correspondance

Une matrice qui reste utile est simple. Voici la démarche qui fonctionne.

1. Construisez un inventaire de contrôles unique. Listez chaque contrôle que vous mettez réellement en œuvre : application du MFA, revues d'accès trimestrielles, tests de restauration des sauvegardes, revues fournisseurs, etc. Désignez un responsable pour chacun.
2. Mappez chaque contrôle aux deux référentiels. Utilisez le classeur AICPA comme point de départ, comme le fait l'approche du tableau de correspondance GRACE. Ajoutez des colonnes pour la référence Annexe A et le critère SOC 2.
3. Ajoutez la source de la preuve. Nommez le système dont provient la preuve : l'export du fournisseur d'identité, le système de ticketing, l'analyse de configuration cloud.
4. Identifiez les écarts. Marquez chaque exigence ISO sans équivalent SOC 2, et chaque contrôle de l'Annexe A dans votre DdA qui n'est couvert par aucun élément de votre inventaire.
5. Consignez le statut. Utilisez des états simples : en vigueur, conçu mais non documenté, manquant.
6. Réalisez une analyse d'écarts ciblée sur les seuls écarts identifiés. Notre guide d'analyse d'écarts ISO 27001 décrit la méthode.

Conservez la matrice comme un document vivant. Elle doit évoluer lorsque votre périmètre, vos outils ou votre DdA changent.

Un exemple concret

Prenons les revues d'accès. Vous effectuez une revue trimestrielle des accès en production dans votre fournisseur d'identité, et un relecteur valide dans un ticket.

• SOC 2 : supporte CC6.1 à CC6.3 (attribution, modification et suppression des accès).
• ISO 27001:2022 : supporte 5.18 (droits d'accès) et 5.15 (contrôle d'accès).
• Preuve : l'export trimestriel et le ticket validé servent les deux auditeurs.
• Exigence supplémentaire pour ISO : la revue doit être tracée à un risque dans votre registre et à une ligne dans votre DdA.

Un contrôle, un corpus de preuves, deux ensembles de références. Répétez cela pour chaque ligne et vous obtenez la matrice.

Preuves réutilisables et preuves non réutilisables

Les preuves techniques voyagent bien. Les journaux, les référentiels de configuration, les rapports d'analyse de vulnérabilités, les résultats de tests de restauration, les exports de revues d'accès et les tickets de changement peuvent généralement servir aux deux audits. C'est l'idée derrière le modèle « tester une fois, se conformer à plusieurs » : les contrôles partagés peuvent être audités pour les deux missions, à condition de les planifier conjointement.

Les preuves de gouvernance ne se transfèrent pas. La DdA, la déclaration de périmètre du SMSI, le plan de traitement des risques, la revue de direction de la clause 9.3 et les rapports d'audit interne sont propres à ISO 27001 et sont évalués séparément. De même, la description du système SOC 2 et l'assertion de la direction appartiennent à la mission SOC 2.

Deux mises en garde pratiques :

• Les dates et périodes diffèrent. Une fenêtre de type 2 peut se terminer en juin, tandis que votre audit de surveillance ISO tombe en novembre. Les preuves doivent être actuelles pour la période propre à chaque audit.
• L'échantillonnage diffère. Les auditeurs de chaque référentiel choisissent leurs propres échantillons. La centralisation de la collecte des preuves est utile, mais les rythmes d'audit et les structures de rapport restent distincts.

ISO 27001 remplace-t-il SOC 2, ou l'inverse ?

Non, dans les deux sens. La certification ISO 27001 ne satisfait pas automatiquement SOC 2, car les objectifs et les critères d'audit diffèrent, et SOC 2 requiert un examen par un cabinet d'expertise comptable. Dans l'autre sens, un rapport SOC 2 ne certifie pas votre SMSI.

Les praticiens décrivent généralement les deux comme complémentaires plutôt qu'interchangeables : SOC 2 fournit une assurance détaillée et orientée client sur un système de service, tandis qu'ISO 27001 démontre une capacité plus large de gestion des risques et de management de la sécurité.

La question pratique est de savoir ce que vos acheteurs demandent. Les clients entreprises américains ont tendance à demander SOC 2. Les acheteurs internationaux et réglementés demandent souvent ISO 27001. Les startups qui vendent à des acheteurs nord-américains peuvent commencer par SOC 2, tandis que les entreprises de services financiers internationaux ou réglementés peuvent privilégier ISO 27001, ou les deux. Pour un cadre de décision plus complet, lisez ISO 27001 vs SOC 2 : lequel vous faut-il ?

Évaluation du travail pour combler les écarts

La plupart des équipes qui disposent déjà d'un rapport SOC 2 ont déjà construit une grande partie de ce qu'ISO 27001 requiert. Le travail restant s'inscrit dans des catégories prévisibles :

Budgétisez les clauses SMSI comme un travail nouveau, même si votre infrastructure technique est mature. Une évaluation d'écarts intégrée peut produire une feuille de route unique, et une vérification de préparation avant l'audit formel vaut l'investissement en temps.

Pour les éditeurs SaaS, la configuration est généralement la même : des contrôles techniques solides, mais une gouvernance peu développée. Notre guide ISO 27001 pour les entreprises SaaS et tech explique à quoi cela ressemble en pratique, et l'article sur le calendrier de mise en œuvre indique la durée habituelle de chaque phase.

Établissements financiers et startups

Les établissements financiers font souvent face simultanément aux due diligences clients, aux régulateurs et aux contreparties internationales. Cela favorise la détention des deux référentiels, avec un périmètre ISO centré sur les lignes métier pertinentes. Consultez notre guide de préparation à l'audit pour les entreprises financières.

Les startups devraient commencer par le référentiel demandé par leur prochain grand client, puis concevoir les contrôles de façon à ce que le second référentiel soit une extension et non un recommencement. Construisez l'inventaire de contrôles dès le premier jour, et la matrice de correspondance ne coûtera presque rien plus tard.

Estimez l'effort avant de vous engager

Une fois que vous connaissez les écarts existants, la question porte sur le coût et le délai. Notre calculateur de coûts ISO 27001 fournit une estimation en temps réel basée sur la taille de l'entreprise, le secteur d'activité et le niveau de maturité en sécurité, avec des hypothèses modifiables et sans inscription requise pour le premier calcul. Si vous souhaitez d'abord évaluer votre situation, faites le bilan gratuit en 2 minutes, ou réalisez l'évaluation complète de préparation, qui mesure la maturité selon les quatre thèmes de contrôles de l'Annexe A. Vous pouvez sauvegarder et comparer des estimations, par exemple une pour ISO seul et une pour un programme combiné SOC 2 et ISO. La page méthodologie explique comment les chiffres sont construits.

Notre point de vue

Nous observons régulièrement la même erreur : les équipes traitent le mapping comme un exercice de tableur, puis découvrent que celui-ci ne couvrait que les contrôles techniques. Le mapping représente les 20 % faciles du travail. La partie la plus difficile consiste à accepter que le SMSI est un système de management, avec des responsables, des revues et des enregistrements, et qu'aucun tableau de correspondance ne les produit à votre place.

Notre conseil est de mapper tôt, car cela réduit la partie intimidante du projet à une liste définie. Estimez ensuite cette liste honnêtement, avec des hypothèses que vous pouvez modifier et remettre en question. Un chiffre que vous ne pouvez pas justifier est un chiffre que vous ne pouvez pas défendre auprès de votre directeur financier ou de votre auditeur. C'est pourquoi nous avons construit le calculateur autour d'hypothèses versionnées et visibles, et pourquoi nous recommandons de comparer des scénarios avant de s'engager sur un budget.

— Martin

FAQ

Puis-je utiliser un seul ensemble de contrôles pour ISO 27001 et SOC 2 à la fois ?

Oui, dans la plupart des cas. Construisez un inventaire unique des contrôles que vous mettez en œuvre, puis référencez chacun à son contrôle Annexe A et au critère SOC 2 correspondant. Vous aurez néanmoins besoin de documents de gouvernance distincts pour ISO et d'une description de système distincte pour SOC 2.

La correspondance ISO 27001 / SOC 2 est-elle officielle ?

L'AICPA publie un tableau de correspondance entre les critères des services de confiance 2017 et ISO 27001 sous forme de tableur téléchargeable. Utilisez-le comme point de départ, et adaptez-le à votre périmètre ainsi qu'à la numérotation des contrôles 2022. Vos auditeurs décident dans quelle mesure ils s'appuieront sur votre propre mapping.

Si je dispose d'un rapport SOC 2, quel travail supplémentaire représente ISO 27001 ?

Les contrôles techniques sont en grande partie en place ; le nouveau travail concerne donc le SMSI : clauses 4 à 10, la Déclaration d'applicabilité, le plan de traitement des risques, un audit interne et une revue de direction. Les contrôles de l'Annexe A hors périmètre de votre système SOC 2 peuvent également nécessiter des travaux. Évaluez ces écarts par une analyse d'écarts avant de fixer une date.

La certification ISO 27001 me permet-elle de faire l'impasse sur SOC 2 ?

Non. SOC 2 est un rapport d'attestation émis par un cabinet d'expertise comptable, et les clients qui le demandent attendent ce rapport. Certains acheteurs acceptent l'un ou l'autre ; vérifiez donc ce que vos clients clés exigent avant de décider.

Sources

• AICPA : Correspondance entre les critères des services de confiance 2017 et ISO 27001
• ISO/IEC JTC 1/SC 27/WG 1 : Note de pratique d'audit sur la DdA
• EY : Attestation intégrée SOC et ISO
• BARR Advisory : ISO 27001 vs SOC 2, comment obtenir les deux
• Rapport de correspondance GRACE, SOC 2 vers ISO 27001
• Atlant Security : Guide comparatif ISO 27001 vs SOC 2
• Schellman : Vos questions sur ISO 27001, les réponses

Recommandé

• ISO 27001 vs SOC 2 : lequel vous faut-il ?
• Les contrôles de l'Annexe A d'ISO 27001 expliqués
• La Déclaration d'applicabilité ISO 27001 : guide complet
• Analyse d'écarts ISO 27001 : guide pas à pas